AI-kunskapsutbildning enligt EU:s AI-förordning: vad artikel 4 kräver 2026

Varje organisation i EU som använder ett AI-system har sedan den 2 februari 2025 haft en lagstadgad skyldighet att sörja för sin personals AI-kunskap. Den skyldigheten försvann inte i somras. Den skrevs om, mildrades i ett specifikt avseende, och lämnades sedan över till nationella tillsynsmyndigheter som fick sina befogenheter under de första dagarna i augusti 2026. Om ni har väntat på att lagen ska sätta sig innan ni gör något, så har den nu satt sig, och svaret är att ni har en skyldighet.

Förvirringen är begriplig. Mellan november 2025 och juli 2026 ändrades AI-förordningen för första gången sedan den antogs, och rubrikerna sa att EU hade skjutit upp sina AI-regler. Delar av det är sant. De delar som betyder mest för en vanlig arbetsgivare är det inte.

Vad som faktiskt ändrades den 27 juli 2026

Den digitala omnibusen för AI, förordning (EU) 2026/1744, publicerades i Europeiska unionens officiella tidning den 24 juli 2026 och trädde i kraft den 27 juli 2026. Det är den första uppsättningen ändringar av förordning (EU) 2024/1689 sedan AI-förordningen antogs i juni 2024. Den föregicks av en svår förhandling: den första trilogen kollapsade den 28 april 2026, överenskommelse nåddes den 7 maj, parlamentet godkände texten den 16 juni och rådet den 29 juni.

Tre saker hände som en arbetsgivare behöver hålla isär.

Högriskskyldigheterna sköts upp. Fristående högrisksystem enligt bilaga III, som omfattar rekrytering, kreditbedömning, utbildning, biometri och flera andra känsliga användningar, gäller nu från den 2 december 2027 i stället för den 2 augusti 2026. Högrisk-AI inbyggd i reglerade produkter enligt bilaga I flyttas till den 2 augusti 2028. Det är det uppskov rubrikerna beskrev, och det är verkligt. Det är också den del som med minst sannolikhet gäller er, om ni inte bygger eller använder AI inom något av de specifika områdena.

Transparensskyldigheterna sköts inte upp. Artikel 50, som kräver upplysning när människor interagerar med ett AI-system och märkning av syntetiskt innehåll, gäller från den 2 augusti 2026 enligt ursprunglig plan. Ett smalt undantag flyttar märkningskraven i artikel 50.2 för system som redan finns på marknaden till den 2 december 2026, och två nya förbud som täcker AI-genererade intima bilder utan samtycke och material med sexuella övergrepp mot barn träder också i kraft det datumet.

Artikel 4, AI-kunskapsskyldigheten, mildrades men överlevde. Det är den ändring som betyder mest för flest organisationer, och den förtjänar en egen förklaring.

AI-kunskapsskyldigheten före och efter

I sin ursprungliga form krävde artikel 4 att leverantörer och tillhandahållare av AI-system vidtog åtgärder för att säkerställa en tillräcklig nivå av AI-kunskap hos sin personal och andra personer som använder AI-system för deras räkning, med hänsyn till deras tekniska kunskaper, erfarenhet, utbildning och det sammanhang systemen används i.

Kommissionens förslag från november 2025 skulle ha tagit bort den bindande skyldigheten helt och gjort om den till en skyldighet för kommissionen och medlemsstaterna att uppmuntra arbetsgivare att agera. Det förslaget överlevde inte. Det som kom i stället är en omskriven artikel 4 som kräver att leverantörer och tillhandahållare vidtar åtgärder som stödjer utvecklingen av AI-kunskap hos samma population.

Skillnaden är den mellan en resultatskyldighet och en insatsskyldighet. Enligt den ursprungliga lydelsen skulle ni nå en tillräcklig kunskapsnivå, och en tillsynsmyndighet kunde i princip be er visa att er personal hade nått den. Enligt den ändrade lydelsen ska ni vidta lämpliga åtgärder som syftar till att utveckla den kunskapen, och ni visar efterlevnad genom att visa vad ni gjorde snarare än genom att bevisa vad er personal kan.

Det är en verklig lättnad och det är rimligt att beskriva den så. Det är inte ett upphävande, och att läsa den som ett sådant är misstaget att undvika. Skyldigheten binder fortfarande varje tillhandahållare, den har gällt kontinuerligt sedan februari 2025, och nationella marknadskontrollmyndigheter fick sina tillsynsbefogenheter över den under de första dagarna i augusti 2026. En organisation som inte gjort något sedan februari 2025 har varit i överträdelse i arton månader, och den mildrade standarden botar inte det retroaktivt.

Vem detta gäller

AI-förordningen fördelar ansvaret huvudsakligen mellan leverantörer, som utvecklar AI-system och släpper ut dem på marknaden, och tillhandahållare, som använder AI-system under eget ansvar. Nästan varje nordisk arbetsgivare som läser detta är en tillhandahållare.

Att vara tillhandahållare kräver inte att ni byggt något. Om ert marknadsteam använder ett generativt skrivverktyg, om era utvecklare använder en AI-kodassistent, om era rekryterare använder en gallringsfunktion i ett rekryteringssystem, om er kundserviceplattform har en funktion för AI-utkast till svar, så använder ni AI-system och artikel 4 gäller er. Tröskeln är varken sofistikering eller skala. Det finns inget undantag baserat på antal anställda och ingen särregel för små företag.

Skyldigheten omfattar er egen personal och andra personer som hanterar drift och användning av AI-system för er räkning. Den andra kategorin är bredare än den ser ut och når konsulter, bemanningspersonal och rådgivare som använder AI när de levererar arbete till er. Den omfattar inte anställdas privata AI-användning på egen tid och egna konton, även om gränsen i praktiken är porös och ett gott skäl att ha en policy, vilket är ett separat ämne.

Vad artikel 4 inte kräver

Två missuppfattningar cirkulerar brett och båda kostar pengar.

Artikel 4 kräver inte att ni certifierar eller testar era anställda. Det finns ingen föreskriven kursplan, inget ackrediteringssystem, ingen godkäntgräns och inget register. Leverantörer som säljer certifiering mot artikel 4 säljer en produkt som lagen inte efterfrågar. Certifiering kan ändå vara användbar för er egen kvalitetssäkring, men det är ert val och inte er skyldighet.

Artikel 4 kräver inte heller samma utbildning för alla. Texten anger uttryckligen att hänsyn ska tas till tekniska kunskaper, erfarenhet, utbildning och användningssammanhang. En utvecklare som integrerar en modell i en produkt och en ekonomiassistent som använder en AI-sammanfattningsfunktion behöver olika saker, och att ge dem samma kurs är både slöseri och ett svagare bevis på proportionerliga åtgärder än ett differentierat program skulle vara.

Vad utbildningen bör täcka

Eftersom lagen anger ett resultat snarare än en kursplan besvaras innehållsfrågan genom att arbeta baklänges från de risker era medarbetare faktiskt kan skapa.

Börja med förmåga och begränsning. De anställda behöver en fungerande mental modell av vad dessa system gör, nämligen genererar plausibel utdata snarare än hämtar verifierade fakta. Det enskilt mest värdefulla ni kan lära ut är att flyt inte är korrekthet, eftersom nästan varje efterföljande fel börjar med att någon litar på ett självsäkert svar.

Hantera sedan data. Vad som får matas in i vilka verktyg, vad som aldrig får matas in i något av dem, och varför skillnaden mellan en företagsimplementering och ett konsumentkonto spelar roll. För de flesta organisationer är det här den verkliga exponeringen ligger, och det hänger direkt ihop med era GDPR-skyldigheter snarare än att stå vid sidan av dem.

Sedan ansvar. AI-utdata är den persons ansvar som använder den. Utbildningen bör göra klart att ingen anställd kan överföra ansvaret för ett beslut, ett dokument eller en kodsnutt till ett verktyg, och att granskning inte är en valfri formalitet.

Sedan er organisations specifika regler: vilka verktyg som är godkända, hur man får ett nytt bedömt, när upplysning krävs och vem man frågar.

Lägg slutligen till djup för de roller som behöver det. De som väljer eller konfigurerar AI-system behöver förstå riskklassificering och vilka frågor som ska ställas till en leverantör. De som inför något som rör rekrytering, prestationsstyrning, kredit eller tillgång till tjänster behöver veta att bilaga III finns och att dess skyldigheter kommer i december 2027.

Bevis, och vad en insatsskyldighet innebär för dem

Eftersom standarden nu är insats snarare än resultat bör er compliancedokumentation dokumentera åtgärder snarare än utfall.

Spara en dokumentation av den bedömning som formade programmet: vilka personalgrupper som använder vilka AI-system, vilken kunskapsnivå var och en behöver, och varför. Spara själva utbildningsmaterialet med versionsdatum, eftersom en tillsynsmyndighet som frågar vad ni gjorde 2025 vill se 2025 års material och inte årets. Spara leveransregister som visar vem som fick vad och när, inklusive nyanställda. Spara bevis på att programmet underhålls, det vill säga en översynscykel med datum, eftersom AI-verktyg förändras snabbare än årlig utbildning hinner följa.

Det är en lättare bevisbörda än att bevisa förståelse i hela personalstyrkan, vilket den ursprungliga lydelsen antydde. Det är inte ingen börda. En organisation som inte kan ta fram något av ovanstående har inte vidtagit åtgärder i någon mening en tillsynsmyndighet skulle erkänna.

Den nordiska bilden

Artikel 4 övervakas nationellt, vilket innebär att den praktiska frågan om hur efterlevnad ser ut i Finland och Sverige beror på de myndigheter som utsetts enligt AI-förordningen i respektive land och den vägledning de publicerar. Utpekandet drog ut på tiden i hela EU, och detta är värt att kontrollera direkt innan ni förlitar er på någon sekundärkälla, inklusive den här.

Två nordiska särdrag formar hur programmen faktiskt byggs.

Det första är införandet. Nordiska arbetsplatser tog till sig AI-verktyg tidigt och brett, ofta underifrån, vilket innebär att populationen som behöver kunskapsutbildning är större än IT-funktionens verktygsinventarium antyder. Varje bedömning som utgår från inköpsregister snarare än från vad människor faktiskt använder kommer att underskatta omfattningen avsevärt.

Det andra är processen. Att införa AI-system som påverkar hur arbete övervakas, bedöms eller organiseras aktiverar samrådsskyldigheter i båda länderna, genom samarbetslagen i Finland och medbestämmandepraxis i Sverige. I Finland ställer lagen om integritetsskydd i arbetslivet ytterligare begränsningar för övervakning av anställda, vilket begränsar hur långt en arbetsgivare kan nöja sig med att observera AI-användning i stället för att styra den. Den praktiska konsekvensen är att nordiska arbetsgivare förlitar sig mer på utbildning och mindre på övervakning än arbetsgivare på vissa andra marknader, vilket höjer insatserna för att få utbildningen rätt.

Vad ni ska göra nu, i ordning

Om ni inte har något på plats är den ordningsföljd som snabbast ger en försvarbar position: inventera de AI-system som faktiskt används, inklusive de som är inbyggda i verktyg ni redan licensierat; gruppera er personal efter vad de gör med systemen; skriv ner vilken kunskapsnivå varje grupp behöver och varför; leverera något till varje grupp inom ett definierat tidsfönster; och dokumentera alltihop.

Om ni redan har ett program byggt mot den ursprungliga lydelsen av artikel 4, montera inte ner det. Utbildning utformad för att säkerställa en tillräcklig kunskapsnivå uppfyller med god marginal en skyldighet att stödja dess utveckling. Vad ni rimligen kan göra är att sluta jaga genomförandeprocent som om de vore det rättsliga testet, och rikta om den ansträngningen mot att hålla innehållet aktuellt.

Om ni inför något som kan falla under bilaga III är datumet i december 2027 närmare än det ser ut, med tanke på att upphandlings-, bedömnings- och åtgärdscykler tar lång tid. Uppskovet beviljades för att de standarder som behövs för efterlevnad inte var klara, inte för att skyldigheterna omprövats.

Vanliga frågor